秘書官アイリスの都市伝説手帳～Urban Legend Notebook of Secretary Iris～

私はアイリス。

都市伝説は、ただの作り話じゃない――
語られぬ真実を、あなたと共に辿る語り部よ。

あなたの個人情報は、本当に安全なのだろうか

銀行。

クレジットカード。

通販サイト。

携帯電話。

病院。

そして行政サービス。

私たちは毎日のように、自分の名前、住所、生年月日、電話番号、決済情報を企業や行政機関へ預けている。

便利な社会になった。

スマートフォン一つで買い物ができる。

役所へ行かなくても申請ができる。

銀行の窓口に並ばなくても送金できる。

しかし、2026年。

日本では、大規模な情報漏えい事件が相次いで発覚した。

そして、その被害は民間企業だけではなかった。

政府の情報基盤まで、外部からの不正アクセスを受けていたのよ。

10月7日。

個人情報保護委員会は、大規模な漏えい事案を踏まえ、企業に対する注意喚起を公表した。

さらに10月14日には、国家サイバー統括室も、幅広い分野で相次ぐ不正アクセスについて注意を呼びかけている。

つまり、これは単なるSNS上の騒ぎではない。

日本政府自身が、深刻な問題として対応を進めている。

では、なぜこれほど多くの個人情報が危険にさらされているのだろうか。

企業の管理が甘いから？

海外のハッカーが優秀だから？

それとも、日本の情報システムそのものに、構造的な弱点が存在しているのだろうか。

今夜は、相次ぐ個人情報漏えいを出発点に、中国製IoT機器、外国製パソコン、海外クラウド、そして日本の「デジタル主権」を調査するわ。

---

第一章｜2026年、日本で何が起きているのか

まず、実際の事件を整理しよう。

今回重要なのは、単に件数が多いことではない。

流出した情報の種類が、それぞれ違っていることよ。

KDDI関連――1,223万人分の認証情報が漏えい

2026年6月17日。

KDDIが複数のインターネットサービスプロバイダ向けに提供していたメールシステムで、不正アクセスによる認証情報の漏えいが発覚した。

8月19日、個人情報保護委員会が詳細を公表した。

漏えいが確認された認証情報に係る人数は、

1,223万1,954人。

そして、さらに深刻な問題があった。

そのうち、

761万6,173人分のパスワードが、平文で保存されていた。

平文とは、復元のための複雑な処理を必要とせず、文字列として読み取れる状態のこと。

個人情報保護委員会は、システムに保存されていたパスワードの管理やアクセス制御などに問題があったと指摘している。

ここで考えてほしい。

メールアドレスとパスワードが第三者に渡った場合、その影響はメールサービスだけにとどまらない。

もし同じパスワードを通販、SNS、銀行関連サービスなどで使い回していれば、別のサービスへの不正ログインにも悪用される可能性がある。

さらにメールアカウントそのものを乗っ取られれば、他のサービスのパスワード再設定を狙われる危険もある。

これは、単なる個人情報の流出ではない。

一つの認証情報から、複数のサービスへ被害が広がる危険性があるということなのよ。

---

第二章｜タイムズカー――免許証画像まで漏えい

2026年9月25日。

カーシェアリングサービス「タイムズカー」が、不正アクセスを検知した。

9月28日、運営会社のパーク24は、約660万アカウント分の情報が第三者に取得されたことを公表した。

対象には、現役会員だけでなく退会済みの会員なども含まれていた。

漏えいした情報には、氏名、住所、生年月日、電話番号、メールアドレスなどが含まれる。

さらに、9月29日の追加発表では、運転免許証画像などの本人確認書類情報が漏えいしたアカウント数は、約160万件とされた。

ただし、ここは混同してはいけない。

660万件すべてで、免許証画像が漏えいしたわけではない。

約660万件は、情報漏えいが確認されたアカウント数。

そのうち約160万件で、本人確認書類の画像が漏えいしたと公表されている。

問題は、その情報の性質よ。

メールアドレスなら変更できる。

パスワードも変更できる。

しかし、顔写真、氏名、生年月日、本人確認書類に記載された情報は、簡単に変更できない。

しかも、退会した人の情報も保管されていた。

パーク24は10月16日、これまで本人確認書類の画像を会員期間中と退会後7年間保有していたと説明し、会員登録完了後は画像を保有しない方針へ変更した。

さらに、保有する本人確認書類の画像を10月末までに削除すると発表している。

ここに、もう一つの重要な問題がある。

私たちは、企業へ預けた個人情報が、いつまで保存されているのかを本当に知っているだろうか。

退会したら情報が消える。

そう思っていても、実際には一定期間保存されている場合がある。

もちろん、法令や正当な業務上の理由によって保存が必要な情報もある。

しかし、必要以上の情報を長く保有すれば、それだけ漏えい時の影響も大きくなる。

情報を集めることだけでなく、不要になった情報を適切に削除することも、重要な安全対策なのよ。

---

第三章｜セイコーマート――北海道でも起きていた

2026年9月29日。

北海道を中心に展開するセイコーマートも、アプリを経由した不正アクセスを公表した。

翌30日の第三報では、セイコーマートアプリに登録したことのある会員のうち、

57万2,022人分の情報が、不正アクセスにより閲覧されたことを確認した。

対象はアプリ会員の約49％。

一方、アプリに登録していない人は対象外と説明されている。

ここでも重要なのは、被害を正確に把握すること。

全てのセイコーマート利用者の情報が漏れたわけではない。

購買履歴についても、会社は漏えいしていないと公表している。

それでも、日常的に利用する店舗のアプリで情報が不正に閲覧されたという事実は重い。

私たちが便利さのために利用している会員アプリ。

ポイント。

クーポン。

電子決済。

購入履歴。

これらのサービスは、それぞれ顧客情報を管理する仕組みを必要とする。

サービスが便利になるほど、利用者は多くの情報を預けるようになる。

そして、その情報を保有する企業には、より高度な安全管理が求められるのよ。

---

第四章｜政府の情報基盤も侵入された

ここからが、今回の調査で最も重要な部分。

2026年9月11日。

デジタル庁は、政府の情報基盤であるGSSへの不正アクセスについて公表した。

GSSとは、ガバメントソリューションサービス。

複数の政府機関が利用する情報システムの基盤よ。

6月25日。

保守運用担当者のアカウントを使って、大量のファイルへアクセスが行われたことを検知した。

7月9日。

第三者がVPN機器の脆弱性を利用してシステムへ侵入していたことが判明した。

その結果、

約24万6,000件の職員・関係者情報が、外部へ漏えいした可能性がある。

対象には、政府機関の職員、業務に携わる関係者や事業者などが含まれている。

氏名。

メールアドレス。

電話番号。

住所。

こうした情報が含まれていた。

ただし、デジタル庁は一般国民の個人情報は含まれていないと説明している。

また、マイナンバーや金融機関の口座情報なども含まれていないと公表した。

ここは正確に区別しなければならない。

政府の情報基盤が侵入されたことは確認されている。

約24万6,000件の情報については、漏えいの可能性があると公表されている。

この二つは、同じ意味ではない。

さらに、犯人が外国政府だったという証拠は、デジタル庁の公表資料からは確認できない。

中国製機器が原因だったという説明もない。

今回の侵入口として公表されたのは、VPN機器の脆弱性なのよ。

---

第五章｜VPNという「正規の入口」

VPNとは、離れた場所から組織のネットワークへ安全に接続するためなどに使用される仕組み。

行政機関でも、企業でも、業務上の遠隔接続に利用されることがある。

本来は、安全な通信を支えるための技術。

しかし、その機器に脆弱性が残っていたらどうなるだろう。

外部から侵入される可能性が生まれる。

今回のGSS事件は、その危険性を示した。

重要なのは、VPNそのものが危険な技術だということではない。

安全な技術でも、適切に管理されていなければ弱点になり得るということ。

機器の更新。

脆弱性への対応。

アクセス権限。

管理者アカウント。

通信の監視。

これらを継続して管理する必要がある。

政府が利用するシステムだからといって、脆弱性が自動的に消えるわけではない。

そして、この話は、次の問題へつながっていく。

---

第六章｜中国製掃除ロボットは情報を盗むのか

2026年5月12日。

小野田紀美経済安全保障担当大臣の記者会見で、議員会館の中国製掃除ロボットについて質問が出された。

通信機能を持つ清掃ロボットは、政府や自治体のIT調達におけるサプライチェーン・リスク対策の対象となるのか。

大臣は、通信回線に接続できる機器については、清掃ロボットのような特定用途の製品でも対象に含まれ得ると説明した。

ここで考えてほしい。

掃除ロボットは、単なる掃除機ではない場合がある。

部屋の形状を把握する。

センサーで障害物を検知する。

カメラを搭載する機種もある。

スマートフォンのアプリと接続する。

クラウドサービスと通信する。

家庭なら便利な機能よね。

しかし、これが重要な会議室や政府機関の中にあったらどうだろう。

どのような情報を取得するのか。

その情報をどこへ送るのか。

外部から操作できるのか。

ソフトウェアを誰が更新するのか。

こうした確認が必要になる。

ただし、ここで大きな誤解をしてはいけない。

中国製掃除ロボットが政府情報を盗んだという事実は、今回確認できていない。

小野田大臣の説明は、通信機器が持つ潜在的なリスクについてのもの。

実際に情報窃取が発生したという告発ではないのよ。

さらに政府は、特定の国や企業の製品を一律に排除することが目的ではなく、情報の窃取や破壊などのリスクがある機器を調達しないことが目的だと説明している。

つまり、問題は製造国の名前だけではない。

その機器が、何を取得できて、誰が操作できるのか。

そこが本当の検証対象なのよ。

---

第七章｜政府のパソコンは外国製でも大丈夫なのか

次に、政府や公的機関が利用するパソコンを考えよう。

日本の行政機関では、各機関が仕様や予算に応じてIT機器を調達する。

そのため、政府の全パソコンが同一メーカーというわけではない。

ここで議論になることがあるのが、Lenovoなどの外国メーカー製パソコン。

ただし、メーカーが外国企業というだけで、情報が国外へ送信されていると断定することはできない。

見るべき点は、もっと具体的。

誰がハードウェアを設計したのか。

どこで製造されたのか。

ファームウェアを誰が管理しているのか。

更新プログラムはどこから配信されるのか。

管理用の通信機能が存在するのか。

機器を廃棄するとき、内部の情報は確実に消去されるのか。

そして、万一問題が発見された場合、日本側はその製品の利用を停止し、代替機へ切り替えられるのか。

これはLenovoだけの問題ではない。

米国メーカーでも、日本メーカーでも、海外で製造された部品やソフトウェアを使用する可能性がある。

製造国と安全性を、一対一で結びつけることはできない。

だからこそ、調達時の安全性評価と、運用開始後の継続的な管理が重要になるのよ。

---

第八章｜日本政府のサーバーはアメリカにあるのか

ここで、よく聞く噂を検証しよう。

「日本政府のサーバーは、すべてアメリカにある」

これは正確ではない。

日本政府には、さまざまな情報システムがある。

政府共通のクラウド基盤。

各機関が運用するシステム。

専用設備。

そして、国内のデータセンター。

すべてが一つの場所に置かれているわけではない。

一方、政府が推進してきたガバメントクラウドでは、AWS、Microsoft Azure、Google Cloud、Oracle Cloud Infrastructureなど、米国企業のクラウドサービスが重要な役割を担っている。

ただし、ここでも重要なことがある。

米国企業のクラウドを使用することは、データを必ず米国内に保存することと同じではない。

クラウド事業者の国籍と、実際のデータ保存場所は別の問題なのよ。

そして2026年3月27日。

デジタル庁は、国産の「さくらのクラウド」がガバメントクラウドの全技術要件を満たしたことを確認し、本番環境の提供が可能になったと公表した。

政府は同年度の対象サービスとして、AWS、Google Cloud、Microsoft Azure、Oracle Cloud Infrastructure、さくらのクラウドの5サービスを挙げている。

日本国内にも、選択肢が存在しているということ。

では、それで問題は解決したのだろうか。

私は、そう単純ではないと思う。

---

第九章｜国内にデータがあれば安全なのか

ここが、今回の記事の核心よ。

例えば、日本国内のデータセンターに個人情報が保存されているとしよう。

しかし、そのデータを管理するソフトウェアが外国企業製だった場合は？

システムを更新する権限を海外企業が持っていた場合は？

障害が発生したとき、外国の事業者による支援がなければ復旧できなかった場合は？

国際情勢が急変し、技術やサービスの提供が制限された場合は？

こうした問題は、データの保存場所だけでは判断できない。

ただし、海外企業のサービスを利用すれば、必ず海外企業が自由に情報を閲覧できるという意味でもない。

暗号化。

契約。

アクセス制御。

監査。

管理権限の分離。

こうした仕組みによって、利用者側が情報を管理することもできる。

重要なのは、実際の契約とシステム構成によって、誰に何ができるのかが異なるという点。

そこで登場するのが、

デジタル主権。

国家や社会が、自分たちの重要なデータと情報基盤について、どこまで主体的に意思決定し、管理できるかという考え方よ。

必ずしもすべてを国産化することではない。

むしろ、

どの国の企業に依存しているのか。

その企業が使えなくなったらどうするのか。

データを他の環境へ移せるのか。

安全性を日本自身が検証できるのか。

これらを把握し、必要なときに選択できることが重要になる。

---

第十章｜情報の集中は、新しい危険を生むのか

では、便利さのために情報を集約することは、悪いことなのだろうか。

必ずしもそうではない。

情報が整理されれば、行政サービスは便利になる。

災害時の支援も迅速になる可能性がある。

医療機関の連携も改善できる。

不正利用の検知にも役立つ。

しかし、情報が一か所に集まれば、侵害された場合の影響も大きくなり得る。

例えば、一つのシステムで氏名だけを管理している場合と、

氏名。

住所。

電話番号。

メールアドレス。

顔写真。

生年月日。

本人確認情報。

利用履歴。

こうした情報を同時に保管している場合。

後者の方が、漏えいしたときに悪用され得る情報の組み合わせが多くなる。

さらに、複数のサービスから漏れた情報を照合すれば、一人の人物について、より詳しい情報が得られる場合もある。

これが、情報の名寄せという問題よ。

一件ずつなら大したことがない情報でも、組み合わせることで個人の特定や詐欺に利用される可能性がある。

そして、AIがその処理を容易にする時代になっている。

ただし、だからといって日本人全員の個人情報が、一つの巨大データベースに集められているという証拠があるわけではない。

技術的に可能なことと、実際に行われていること。

この二つは分けて考えなければならないのよ。

---

第十一章｜「日本人の情報は外国へ筒抜け」という都市伝説

ここまでの調査を踏まえて、最後に一つの都市伝説を検証しよう。

「日本人の情報は、外国へすべて筒抜けになっている」

本当にそうなのだろうか。

今回確認した資料からは、そのような事実を裏付ける証拠は得られなかった。

中国製機器を使っていること。

米国企業のクラウドを利用していること。

外国製OSを使用していること。

これらは、それだけで情報が外国政府へ流出していることを意味しない。

一方、実際に大規模な個人情報漏えいが発生していることは事実。

政府の情報基盤も、不正アクセスを受けている。

そして、通信機能を持つ機器や海外企業への技術的依存には、適切に評価すべきリスクが存在する。

つまり、

「全部盗まれている」も、「何も心配する必要はない」も、どちらも正確ではない。

必要なのは、現実の弱点を具体的に特定すること。

誰が情報へアクセスできるのか。

どの機器が外部と通信するのか。

重要な情報がどの程度集中しているのか。

不正アクセスを検知できるのか。

そして、問題が発生したとき、どれだけ早く対応できるのか。

国家の情報安全保障は、そうした地道な管理の積み重ねによって成り立つのよ。

---

最終章｜日本は自分たちの情報を守れる国なのか

2026年。

日本では、大規模な情報漏えい事件が相次いだ。

KDDI関連では、約1,223万人分の認証情報の漏えいが確認された。

タイムズカーでは、約660万アカウント分の情報取得が確認された。

セイコーマートでは、57万2,022人分の会員情報が不正に閲覧された。

そして、政府のGSSでも、約24万6,000件の職員・関係者情報が漏えいした可能性が公表された。

もちろん、これらの事件が同一の攻撃者によって引き起こされたという証拠はない。

外国製機器が原因だったと確認されたわけでもない。

しかし、私たちは、もう一度考える必要がある。

便利な社会を作るために、情報を集める。

業務を効率化するために、クラウドへ移す。

より安価で高性能な機器を使うために、世界中の製品を調達する。

こうした選択には、それぞれ合理的な理由がある。

しかし、その先にある依存関係を、私たちはどこまで把握しているのだろう。

問題なのは、国籍だけではない。

誰が設計し、誰が更新し、どこへ通信し、誰が管理権限を握っているのか。

それを日本自身が把握し、必要なら止められるのか。

代わりの仕組みへ切り替えられるのか。

そして、情報を預けた国民に、十分な説明ができるのか。

私は、そこに日本のデジタル主権の本質があると思う。

一方、私たち個人にもできることはある。

パスワードの使い回しをやめる。

多要素認証を設定する。

不審なメールやSMSのリンクを開かない。

利用していないサービスを整理する。

個人情報を預ける前に、その必要性を考える。

国家の情報安全保障と、個人の情報管理。

規模は違っても、基本は同じなのかもしれない。

自分の情報を、誰が、何のために、どこまで利用できるのか。

それを知ることから、情報を守る行動は始まる。

今夜21時の調査補遺では、さらに奥へ進む。

外国製クラウド。

OS。

パソコン。

VPN。

IoT。

AI。

そして、漏えいした個人情報の二次利用。

デジタル主権を失った国家では、どのような問題が起こり得るのだろうか。

最後に、一つの問いを残したい。

日本の重要情報が国内に保存されていたとしても、それを支える技術を日本自身が管理できなければ、本当に安全と言えるのだろうか。

真実の欠片を、もう少し探しに行こう。

次回――あなたと辿る、さらなる真実の欠片。

私はまた、語りに戻ってくるわ。